I due principi, che sembrano contraddirsi
Da un lato il codice civile impone di conservare le scritture contabili per dieci anni dalla data dell'ultima registrazione, insieme alle fatture e alla corrispondenza commerciale. Dall'altro la normativa sulla protezione dei dati stabilisce che i dati personali siano conservati per un arco di tempo non superiore a quello necessario alle finalità per cui sono trattati.
Non è una contraddizione: sono due domande diverse. La prima chiede quanto tenere un documento; la seconda chiede per quanto usare un'informazione su una persona. Una fattura si conserva dieci anni perché è un documento contabile, e questo non autorizza a usare l'indirizzo email che contiene per mandare promozioni per dieci anni.
| Cosa | Per quanto | Perché |
|---|---|---|
| Scritture contabili, fatture, corrispondenza commerciale | 10 anni | Obbligo civilistico |
| Documentazione fiscale | Secondo i termini di accertamento | Obbligo autonomo, da verificare con il consulente |
| Contratti | Durata del rapporto più i termini di prescrizione | Difesa di un diritto |
| Dati del rapporto di lavoro | Molti anni, con termini diversi per categoria | Obblighi previdenziali e contributivi |
| Curriculum ricevuti e non selezionati | Pochi mesi, salvo consenso a conservarli | Nessun obbligo li trattiene |
| Iscritti a una newsletter | Finché non revocano, con verifica periodica | Si basa sul consenso |
| Registrazioni di videosorveglianza | Pochi giorni | Principio di minimizzazione |
| Ticket di assistenza chiusi | Il tempo utile a gestire contestazioni | Scelta motivata vostra |
Le ultime quattro righe non hanno un termine di legge: sono decisioni vostre, e vanno prese, scritte e applicate. È proprio questo che in un controllo distingue un'azienda organizzata da una che semplicemente non ha mai cancellato niente.
Perché tenere tutto è un rischio, non una cautela
- In caso di accesso non autorizzato, il danno è proporzionale a quanto c'era: dieci anni di archivi esposti invece di due.
- Una richiesta di accesso di un cliente diventa un lavoro enorme quando i suoi dati stanno in sei sistemi e in ogni backup dal 2018.
- Un archivio grande è un archivio che nessuno conosce: nessuno sa più cosa contiene, e quindi nessuno lo protegge in modo proporzionato.
- La conservazione oltre il necessario è in sé una violazione del principio di limitazione, indipendentemente dal fatto che accada qualcosa.
- Costa: spazio, backup, tempo di ripristino, licenze che scalano sul volume.
Come decidere i termini, una volta sola
- 01
Elencate le categorie, non i singoli dati
Clienti, fornitori, dipendenti, candidature, contatti commerciali, assistenza, videosorveglianza. Sei o sette voci coprono un'azienda intera.
- 02
Per ciascuna, chiedetevi da dove viene il termine
Un obbligo di legge, la durata di un contratto, un termine di prescrizione, oppure una vostra scelta. Se la risposta è «una nostra scelta», scrivete anche il motivo: è quello che rende la decisione difendibile.
- 03
Scrivete i termini nel registro dei trattamenti
È il posto dove vanno, ed è anche il documento che vi verrà chiesto. Averli lì significa non doverli ricostruire a memoria.
- 04
Fate in modo che si applichino da soli
Un termine che richiede a qualcuno di ricordarsi di cancellare non verrà mai applicato. Una regola automatica nel sistema, anche semplice, sì — ed è l'unica differenza fra una politica scritta e una politica vera.